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SEÑOR PRESIDENTE (Diego Echeverría).- Habiendo número, está abierta la 
reunión. 


La Comisión de Constitución, Códigos, Legislación General y Administración 
integrada con la Especial de Innovación, Ciencia y Tecnología tiene el gusto de recibir al 
doctor Ricardo Lackner, a los efectos de tratar el proyecto Tipificación de Ciberdelito. 


(Se establece la conexión vía Zoom) 


——Hagy integrantes de la Comisión que están conectados vía Zoom, que también 
podrán hacer uso de la palabra si así lo requieren. 


SEÑOR LACKNER (Ricardo).- Muchas gracias por la convocatoria. La verdad es 
que es un gusto tener la oportunidad de participar en esta instancia. 


Tengo entendido que la preocupación por la que me convocaron fue un informe 
producido por el Instituto de Derecho Penal en el cual se indica que no sería necesario 
legislar en esta materia. 


Por lo que se me trasmitió, es un informe firmado por el director del Instituto, el 
doctor Germán Aller. Ante esa situación, que supongo que habrá causado desconcierto 
por la posición, es que con el señor diputado Cal, con quien coincidimos en una instancia 
organizada por el Consejo de Europa, en Costa Rica -que, como ustedes saben, es un 
país que recientemente sufrió uno de los más graves ataques cibernéticos-, 
intercambiamos algunas ideas sobre el particular, y me hizo llegar esa inquietud. 


Esa posición del doctor Aller es conocida desde hace mucho tiempo. La ha 
sostenido como una posición personal, pero dista mucho de ser, francamente, 
compartida, incluso, por el resto del Instituto de Derecho Penal, que también integro. A 
esta altura, es incuestionable la necesidad de tener disposiciones específicas; así lo han 
señalado, en la práctica, los compromisos internacionales. Hay países que van por la 
cuarta o quinta generación de legislación, que los señores diputados pueden consultar en 
páginas oficiales, como en la de la OEA, que tiene país por país las distintas 
disposiciones legales en materia de ciberdelitos y en materia procesal penal. 


Como ya hemos dicho, es imprescindible que las acompañen, porque sin una 
debida legislación procesal, los delitos no se pueden perseguir. El derecho penal 
sustantivo, como se suele decir, no toca un pelo al delincuente. Es el derecho procesal el 
que habilita la posibilidad de persecución. Además -vuelvo a insistir-, no solo es necesario 
legislar, sino hacerlo en sintonía con los demás países, para que pueda ser efectiva la 
cooperación internacional, que es la tercera parte del Convenio de Budapest, porque toda 
esta actividad está orientada a que nuestro país adhiera a ese convenio, que es el que 
comienza en el marco de la Unión Europea, pero, por ser uno de los mejores 
instrumentos, se ha ido ampliando. Incluso, otras alternativas que en su momento manejó 
el país, como un convenio iberoamericano, ha quedado por el camino y todos esos 
esfuerzos se han conducido hacia Budapest. Por eso es que es muy importante adherir. 
Ya se han comenzado a notar algunos efectos positivos de eso, como la preocupación de 
dicha comunidad por acercarnos información. Hemos tenido rondas con otros ministerios 
públicos que nos han compartido generosamente su experiencia en la organización de su 
Unidad de Ciberdelitos dentro de la Fiscalía. De paso, agradezco, en nombre de la 
institución, el esfuerzo presupuestal realizado para la creación de la Unidad de 
Ciberdelitos en la Fiscalía, que es un paso muy importante, precisamente, para poder 
enfrentar, con otros instrumentos, una realidad que ya no es un tema marginal en cuanto 
a las modalidades delictivas, porque en todos los delitos aparecen elementos 
informáticos. Acá tenemos dos. 
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Cuando hablamos de delitos informáticos, podemos hablar en términos generales de 
todo delito en el cual se haya empleado como medio un instrumento tecnológico. Hoy en 
nuestra vida todo es tecnológico; por poner un ejemplo extremo, muchas veces hasta las 
notas de suicidio se dejan en los celulares y por eso hay que manejar con todo el cuidado 
debido la evidencia digital. 


Por otro lado, tenemos los delitos cibernéticos propiamente dichos; por ejemplo, los 
que ha sufrido Costa Rica y que pueden paralizar un país. Imaginen que, 
simultáneamente, ha paralizado su sistema tributario, su sistema de previsión social y su 
sistema de salud, además, en medio de una transición de gobierno. 


Esos son, fundamentalmente, los delitos que están preocupando a la comunidad 
internacional. 


Acá también hay otro concepto que también cambia. En el mundo analógico, 
podríamos decir que lo que pasaba dentro de una empresa o de una casa era cuestión de 
los dueños y que nadie tenía por qué inmiscuirse si hacía tal cosa con su seguridad o si 
se despreocupaba. En realidad, las nuevas tecnologías imponen un deber de solidaridad, 
porque el descuido en ciberseguridad de una empresa puede afectar a todas las demás, 
ya que esos datos que posee para su operativa, si son sustraídos, pueden ser utilizados, 
precisamente, para atacar a otras personas o, incluso, hacer ineficaces los mecanismos 
de defensa que tienen previstos. Lo mismo pasa a nivel de los países. Uruguay cuenta, 
además, con la situación envidiable de una gran extensión de acceso de su población a 
los servicios tecnológicos, pero, al mismo tiempo, existen problemas de desprotección en 
materia jurídico- penal en el uso de esas tecnologías. La Fiscalía está muy preocupada 
en esos temas. 


En el día de ayer, por iniciativa del doctor Juan Gómez, mantuvimos una entrevista 
con el señor presidente del Banco de la República, a raíz de los hechos de público 
conocimiento en cuanto a las estafas que se están realizando. Mostramos nuestras 
estrategias de investigación, la necesidad de trabajar coordinadamente y todas las 
dificultades que hay en torno a la persecución de estos delitos, precisamente, por la falta 
de los instrumentos adecuados para su persecución que, además, debe realizarse. En 
este caso, es de carácter nacional, pero no olviden que la naturaleza de estos delitos 
abarca más de un país y, por tanto, es necesario que entre las legislaciones exista una 
razonable equivalencia para habilitar los mecanismos de cooperación internacional. 


Esta es la fase que nos preocupa en el caso de las estafas, que es de carácter 
nacional, pero el origen de los phishing que dieron lugar a las posteriores usurpaciones 
de identidad que se utilizaron para la comisión de los fraudes arrancan en IP localizadas 
en el exterior; además, todavía no está claro a dónde va a parar finalmente el dinero, que 
es en criptoactivos. Es decir que hay una cantidad de aspectos nuevos que, francamente, 
dificultan la investigación. 


En la ronda de experiencias con otros países -que fue muy interesante- 
encontramos que todos tienen el mismo problema en cuanto a la falta de recursos, pero 
que es algo que se compensa con la flexibilidad en el uso de esos recursos y con la 
cooperación entre los distintos organismos del Estado. Para ello se busca saber quiénes 
están capacitados y dónde están, a fin de formar, de la manera más fluida posible, 
verdaderos equipos ad hoc que puedan resolver un tema concreto o una modalidad 
concreta, entre todas las instituciones del Estado, y también del sector privado. 


En realidad, no hemos encontrado a nadie que nos diga que está conforme con lo 
que hace, por lo que procuran generar sinergias con lo poco que tienen para hacerlo 
rendir. 
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En ese sentido, hay que tener en cuenta un aspecto muy importante, que es la 
comunicación con la población. En este caso, las que mantienen esa comunicación son 
las unidades de ciberdelito, que tienen páginas on line que informan, en tiempo real, las 
modalidades que se están produciendo, a fin de advertir a la población. Esa información 
es levantada por los medios de comunicación para que pueda llegar al público que 
todavía no suele manejar los nuevo medios tecnológicos. Concretamente, se describen 
las distintas modalidades y, además, existe la posibilidad de hacer, en tiempo real, 
denuncias on line de delitos informáticos. 


En cuanto a las víctimas de violencia sexual ejercida a través de medios 
tecnológicos, como la difusión de imágenes íntimas o la llamada pornovenganza -dicho 
sea de paso, ya la tenemos legislada-, hay algunas novedades. Se están ensayando 
modalidades tecnológicas que permiten, mediante la descarga de un programa o la 
facilitación de un programa, que la víctima pueda hacer una autoextracción del contenido 
de su celular -con todas las garantías de la informática forense- para que posteriormente 
pueda ser examinado en el laboratorio, y enviarlo inmediatamente. Estas son las últimas 
novedades que vimos en el seminario organizado por la Unión Europea; esto es lo que 
están ensayando los distintos países para enfrentar este tipo de delito, que, además, 
están dispuestos a compartir sus experiencias. 


En realidad, lo que nos parece más útil es que estas experiencias nos impiden ir por 
el camino equivocado y nos evitan arrancar desde cero. Sin duda, nos permiten 
saltearnos todo lo que han ensayado y ha salido mal, y adaptar todo lo bueno. 


Yo vine a la Comisión a explicar todo esto; pido disculpas por mi entusiasmo y por si 
me he extendido demasiado, pero ha sido una experiencia muy buena. 


Además, quería decirles que la voluntad del Parlamento de trabajar este tema ya 
está dando resultado, teniendo en cuenta la forma en que la Unión Europea está 
cooperando ante nuestras solicitudes y nuestros pedidos de asesoramiento para 
instrumentar esta nueva etapa. Inclusive, quienes nos visitaron oportunamente -me 
refiero a los señores Marcos Salt y Alexander Seger- nos preguntaron a cada uno de los 
integrantes cómo iba el proyecto y se pusieron a las órdenes para colaborar. En realidad, 
consideran muy importante que Uruguay inicie el proceso de adhesión, por lo que acabo 
de explicar, es decir, no solo por hacer un bien, sino porque la seguridad informática 
general depende de las conductas particulares y de que haya una cierta coherencia y 
uniformidad en los ordenamientos jurídicos, inclusive para trasladar la prueba levantada 
en un sitio. Digo esto porque la cuestión de la territorialidad pasa a ser meramente un 
detalle, ya que solo tiene importancia para saber quién tiene que hacer el trabajo de 
juntar la evidencia, porque en los hechos no tendría que notarse quién lo hizo, ya que 
debe ser hecho de tal forma que valga en cualquier tribunal del mundo; ese es el desafío 
que está planteado. 


Por supuesto, quedo a disposición de los señores diputados por si quieren realizar 
alguna consulta o planteo; en realidad, yo venía con esa idea y no la de hacer una 
exposición. 


SEÑOR REPRESENTANTE GOÑI REYES (Rodrigo).- De acuerdo con lo que 
planteó el doctor Lackner y teniendo en cuenta su conocimiento sobre el tema y las 
experiencias que ha tenido a través del seminario, me gustaría que la Comisión pudiera 
conocer su opinión con relación al último texto del proyecto de ley que estamos 
manejando y que podría ser aprobado a la brevedad. 


Entonces, como estamos en las últimas instancias parlamentarias, me gustaría 
conocer la opinión del doctor sobre el proyecto. 
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SEÑOR LACKNER (Ricardo).- Sobre el proyecto en sí debo decir que hay un 
aspecto que continúa llamando la atención, y es la modificación que se hace en el 
artículo 3% al inciso segundo, estafa informática, del artículo 347 del Código Penal, que 
dice lo siguiente: "El que, en abuso de sistemas informáticos, tenencia de programas, u 
otros mecanismos informáticos idóneos, indujere en error a alguna persona para 
procurarse a sí mismo [...]". Esta inducción en error a una persona es precisamente lo 
que tradicionalmente causó la inaplicación o la imposibilidad de aplicar el delito tradicional 
de estafa a los fraudes informáticos. ¿Por qué? Porque en los procesos de 
automatización, por definición, se ha sacado a las personas del medio, incluso como una 
forma de eficacia, que no dependa de una voluntad. 


El tema en cuestión es si se sigue haciendo referencia a una persona, y creo que sí; 
eso es lo que estuve viendo. ¿Por qué digo esto? Porque el engaño es una manifestación 
psicológica en un ser humano, es decir, es una falsa representación que no se reproduce 
en una máquina, simplemente, hay una coincidencia; no es posible hablar en lenguaje 
figurado si no hay una persona. Esto siempre se ha anotado así. Incluso, se ha hablado 
de la estafa mecánica como una creación doctrinaria, pero en realidad no deja de ser una 
analogía, y mala en parte. No está contemplado ese fenómeno del engaño. El fraude 
directamente está legislado, como propone el Convenio de Europa, en la utilización de 
medios fraudulentos, y deja de lado el engaño. Incluso, el engaño es tan importante para 
la estafa tradicional que es el que marca el momento consumativo, porque es un delito de 
peligro, no se consuma cuando se obtiene el beneficio, sino meramente cuando la 
persona cae en el engaño. Ese es un problema que llama la atención que todavía 
permanezca porque fue de las primeras causas que motivaron esto. 


Al respecto, les puedo contar una anécdota de hace muchos años. Cuando se 
habilitó el sistema de obtención de números para sacar la cédula de identidad con 
descuento de ese trámite en la factura telefónica, hubo un olvido de bloquear los 
teléfonos públicos, y hubo una persona que llamaba desde el teléfono público, obtenía los 
números para sacar la cédula y, después, los vendía en la puerta de Identificación Civil. 
Hubo una denuncia por estafa porque si bien la persona vendía los números al mismo 
precio que el Estado, obviamente, ese dinero no iba para el Estado y había allí un 
perjuicio, pero la cuestión es que el sistema estaba automatizado, no había una inducción 
en error a nadie. Y el tema se descubrió cuando un despistado le preguntó al policía: 
"¿Dónde está el señor que vende los números?", y quedó así, aunque el hecho causara 
daño, aunque fuera reprobable hasta éticamente, no es delito porque no había ninguna 
inducción en error a nadie. Digo esto por poner un ejemplo. Esto está claro desde hace 
mucho tiempo, al igual que con los cajeros. No se engaña al cajero con una tarjeta 
clonada, a lo sumo es el equivalente a usar una llave sofisticada. Entonces, hay que tener 
cuidado con el uso de las metáforas, que a veces sirven para las explicaciones, pero no 
para los tipos penales. Esta es la primera observación. 


En cuanto a cómo deberíamos juzgar el proyecto en sí, me atrevería a decir que 
quienes deberían ser convocados y tener la última palabra es la Agesic y, en particular, 
quienes atienden el Centro de reportes e incidentes informáticos, CERT. 


El primer CERT -para que vean que esto no es nuevo- nació en 1970, en Estados 
Unidos, y se debió al primer virus informático que un estudiante creó para medir la 
extensión de las redes que tenían. Este virus empezó a replicarse, causó millones de 
dólares en daños -esa era la intención- y, a partir de ahí, se crea esta unidad que 
después se replica en los demás países. 


Los CERT intervienen en lo que hoy para nosotros son incidentes informáticos, ya 
que no están definidos como delitos, pero suponen ingresos no autorizados a sistemas, 
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extracción de datos, y tienen una visión de cuáles son -por decirlo de una manera no 
jurídica, porque todavía no está definido como delito- esos comportamientos antisociales, 
que ocasionan daños desde el punto de vista de la convivencia, y pueden informar cuál 
es la frecuencia, cuáles son los principales objetivos, qué instituciones son las más 
afectadas. 


Además, ahí van a tener otra cuestión y es que en el mundo algunos de estos CERT 
funcionan dentro de los ministerios públicos, otros funcionan en otras instituciones, pero 
la cuestión que está en debate es si tienen la obligación de denunciar una vez que estas 
acciones estén definidas como delitos, particularmente en el sector privado, porque 
puede haber empresas que prefieran soportar las pérdidas antes que arriesgar su 
prestigio reputacional ante la comunidad por verse atacadas. Entonces, ahí hay que 
sopesar los intereses: si hay intereses en la sociedad en perseguir, más allá de los 
intereses particulares, si ahí hay, además, intereses generales que se sobrepongan a 
esos casos. Algunos son muy claros, por ejemplo, cuando se trata de puestas en peligro 
de bases de datos críticas; en otros casos, pueden ser a operaciones financieras. Esa es 
la cuestión. 


La rendición de cuentas también ha hecho algo muy positivo, que es posibilitar que 
la Agesic haga un seguimiento en los casos en que se hayan producido esos ataques, 
porque muchas veces esos ataques son resultado de una pésima organización en cuanto 
a la ciberseguridad, y desde ya adelanto que una pésima organización en cuanto a la 
ciberseguridad dificulta enormemente las posibilidades de una investigación penal. Me 
explico: hay ataques que son lanzados indiscriminadamente para ver quién cae, y hay 
otras modalidades que son específicamente diseñadas para un objetivo específico en 
base a las vulnerabilidades constatadas. 


En este sentido, la investigación tiene dos aspectos: uno técnico, que termina 
identificando el aparato desde donde partió, y el otro tradicional, donde hay que imputarle 
o adjudicarle ese aparato a un ser humano que lo maneja, que es en quien va a recaer la 
responsabilidad penal. Hay una guía de investigaciones que es acerca de quién estaba 
en conocimiento de las vulnerabilidades de cierta organización como para facilitárselas 
eventualmente al atacante. Si nos encontramos con una organización que no tiene un 
programa de ciberseguridad, que no tiene un responsable, cuyos programas son 
obsoletos, que no tienen adecuadamente definidos los permisos, etcétera, realizar eso en 
medio de ese caos es imposible. Es algo así como el bombero que tiene que ir a apagar 
un incendio, pero resulta que el edificio no contaba con la correspondiente habilitación y 
hay cosas que le hacen más difícil su trabajo. Uso el ejemplo del bombero porque el 
CERT se compara a sí mismo, en su intervención rápida en medio de un ataque, con 
alguien que a veces tiene que irrumpir -no aguardar una autorización, etcétera- para 
resolver una situación y conjurar un peligro de forma inmediata. Y ahí, incluso, tenemos 
otro aspecto que es importante para la investigación, que es que hay como una falsa 
oposición entre la ciberseguridad, conjurar ese ataque y preservar las evidencias. 
Mientras estoy ocupado en parar el ataque no puedo estar pensando en no destruir toda 
la evidencia, la evidencia digital, que se caracteriza, justamente, por ser volátil, 
modificable, por todas esas características. Entonces, uno de los aspectos que se 
plantearon en este último seminario fue combinar las dos cosas: tratar de preservar la 
evidencia al mismo tiempo que se combatía eficazmente. 


Entonces, respecto a la adecuación del proyecto, más allá de cómo esté redactado, 
que es perfectible -como decía, hay países que van por la quinta versión de sus 
disposiciones a lo largo de su experiencia; Chile acaba de aprobar después de treinta 
años de sufrir delitos cibernéticos, la última versión para adecuarse al Convenio de 
Budapest; son, digamos, experiencias a tener en cuenta; incluso, el propio Consejo de 
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Europa aconsejó avanzar en el proyecto para perfeccionarlo después-, la agencia que los 
puede advertir más inmediatamente, porque reúne los dos aspectos, el de la sociedad de 
la información, en cuanto a la visión jurídica del fenómeno, y los aspectos técnicos, en 
relación a cuáles son las maniobras más frecuentes, a dónde están las mayores 
vulnerabilidades y les puede dar datos estadísticos, es la Agesic. Incluso, antes de venir, 
ya les avisé que les ¡ba a pasar la pelota a ellos porque entiendo que son, justamente, 
quienes están todos los días con este asunto y pueden dar datos concretos. 


Además, hay otro aspecto a tener en cuenta. Les decía que ese no es el problema 
en esta materia que más preocupa a la ciudadanía porque son delitos que normalmente 
no trascienden. Por ejemplo, no llegan graves vulneraciones a sistemas informáticos, a 
sistemas financieros. A veces, da la impresión de que la denuncia se hace solo para 
cumplir un trámite y, luego, cobrar el seguro, sin ninguna posibilidad después de hacer 
una investigación concreta, aunque alguien, al final del día, termina pagando esos 
ataques o daños patrimoniales. 


Los proyectos no son buenos o malos en sí, sino en función de los resultados que 
producen, y quienes están en mejores condiciones de evaluarlo en su conjunto, repito, 
por esa experiencia cotidiana, es la Agesic, con quienes, además, tuvimos oportunidad de 
hablar todos estos temas, en la medida en que íbamos escuchando las diferentes 
presentaciones en la instancia que organizó el Consejo de Europa en Costa Rica -donde 
tuvimos una representante-, en el que participaron unos cincuenta países, dando una 
visión muy amplia de este fenómeno. Allí se tocaron múltiples temas, desde cómo 
conservar los recursos humanos después de que están formados dentro del Estado 
-porque el sector privado siempre es capaz de ofrecer mejores condiciones económicas-, 
las distintas estrategias, hasta programas de educación en las escuelas, programas de 
prevención para detección de futuros delincuentes informáticos por su comportamiento ya 
desde muy jóvenes en las redes o en las distintas instancias. 


También hay otro aspecto que es muy importante destacar. En estos casos vemos 
-debo reconocer que me impresionó gratamente- que al mismo tiempo de la búsqueda de 
la eficacia en la investigación penal está la preocupación por el respeto a los derechos 
humanos en lo que tiene que ver con la protección de la intimidad, en las garantías para 
utilizar los medios invasivos, en la regularidad de los procedimientos judiciales. Hay 
puntos, sobre todo del segundo protocolo del Convenio de Budapest, que son muy 
importantes e involucran la colaboración en primera instancia y, luego, ciertos aspectos 
de obligatoriedad en la cooperación del sector privado, justamente, para garantizar el 
correcto uso de esos datos y la valoración de la proporcionalidad entre la gravedad del 
delito que se investiga y el nivel de injerencia en la intimidad de las personas. Y algunos 
aspectos, según nos decían, han llevado discusiones en noventa y dos sesiones con los 
máximos expertos en este punto, que es lo que, de alguna manera, se va a reproducir 
aquí cuando llegue el momento de abordar las disposiciones procesales. La experiencia 
chilena va a ser muy valiosa. En Chile quedaron por el camino algunos de los 
instrumentos que están propuestos, como, por ejemplo, el allanamiento informático, que 
es el allanamiento a distancia de una computadora, no la incautación luego de ingresar a 
un domicilio, controlar la situación y después acceder a la computadora, porque eso se 
considera ineficaz para ciertos delitos, pero fíjense también, mal utilizado, a qué tipo de 
abusos podría prestarse. Es decir, es una cuestión muy delicada para sopesar. 


En Chile también fue muy importante el proceso. 


Ustedes disculpen si los aburro, pero les comparto la experiencia, que me resultó 
fascinante. 
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En Chile tuvieron también la amabilidad de compartir cómo fue su proceso de 
discusión con la sociedad civil, los intercambios que se fueron efectuando en esta materia 
y las soluciones a las que arribaron. En el informe que presentó la Fiscalía hay una 
referencia a un ciclo de conferencias en la Universidad de Chile donde se abordan temas 
como el hacking ético y la importancia, tan debatida, que se le asigna, a su regulación. 
Otro aspecto muy importante es que este tipo de conductas delictivas, así como está -no 
sé si los señores legisladores lo han considerado- va a pasar a integrar el parqué del 
derecho penal juvenil, porque hay jóvenes que dominan estas cuestiones, y nos han 
contado situaciones de jóvenes de 15, de 16 años que han entrado en áreas críticas del 
Estado, y ¿cuál es la respuesta que se da frente a eso? En fin, es una serie de 
cuestiones generales. 


En definitiva, creo que en esta instancia lo que hay que rescatar, en general, salvo 
algún aspecto como este que acabo de señalar -que es fácilmente perfeccionable y que 
apunta a algo claro que ofreció, desde el primer momento, dificultades para aplicar la 
figura a estas nuevas modalidades, me refiero a la de la estafa-, es que lo importante 
sería consultar a la Agesic sobre este tema a fin de evitar algún desajuste con la realidad, 
porque ellos conocen mejor que nadie por esos aspectos y, en definitiva, sería dar una 
señal para empezar a trabajar con el Consejo de Europa. 


Como les decía, no hay legislación que haya quedado fija desde el primer momento 
porque este es un fenómeno tan dinámico que siempre se va corriendo de atrás. Hay que 
evitar los casuismos porque dan lugar a la interpretación a contrario sensu en materia 
penal, terminan complicando. Por algo el Convenio de Budapest ya viene con un glosario 
y define las cuestiones, el sentido que tiene cada una de las expresiones. Además, ya se 
ha generado una jurisprudencia y viene con una suerte de comentarios y 
recomendaciones de corte doctrinario de hacia dónde están enfocados los puntos a que 
refieren cada uno de esos aspectos. Es cuanto les puedo decir en general. 


Lo ideal lo planteamos en el informe de Fiscalía, que es cuáles serían los pasos 
para acceder a un proyecto, lo que no inventamos nosotros, sino que es de la 
Organización Internacional de Telecomunicaciones, que diseñó un proyecto para reformar 
la legislación y adecuarla, justamente, a los países en vías de desarrollo. Obviamente, 
seguir esos pasos requeriría estar absolutamente dedicado a eso; nosotros no tenemos la 
posibilidad de hacer ese estudio tan profundo. Lo que les digo son las impresiones 
generales y comparándola con otra legislación reciente, por ejemplo, la chilena, que me 
consta que la tuvieron en consideración porque fue aprobada muy recientemente. 
Además, en materia procesal tienen otra muy desarrollada, que es la Ley de 
Enjuiciamiento española, que, inclusive, es extremadamente minuciosa con respecto a la 
motivación y al contenido de la motivación que debe esgrimirse en cada caso, para cada 
medio de investigación, desde las interceptaciones telefónicas comunes, hasta otras más 
novedosas. 


SEÑOR REPRESENTANTE CAL (Sebastián).- Agradezco la celeridad de su 
respuesta a este tema, que sé que, al igual que muchos, considera muy importante y, 
sobre todo, al estar hoy al frente de la Unidad de Ciberdelitos sabe, más allá de todo lo 
que nos hizo saber el Consejo de Europa en este tema, de la necesidad de trabajar, de 
tipificar muchos delitos que hoy no están contemplados en nuestro Código Penal. 
También tuvimos la oportunidad de intercambiar sobre otros aspectos del proyecto que 
tanto él como muchos expertos ven como algo necesario debido a los recursos que 
pueden volcar países como el nuestro, sobre todo en la parte de educación. Creo que va 
a ser lo que, a largo plazo, terminará blindándonos como país en forma colectiva, 
sabiendo los errores que cada persona individualmente pueda no cometer. 
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Entiendo que el aporte del doctor Lackner ha sido muy importante. Habíamos 
contemplado en algunas de las redacciones -ya han pasado tres o cuatro- agregar una 
sugerencia muy similar a la que nos hizo el doctor Lackner, pero después las sacamos. 
Ha habido posiciones muy encontradas en algunos temas. No ha sido fácil trabajar en la 
redacción, sobre todo en el primer capítulo, de tipificación. Varios expertos de los que han 
pasado han tenido posiciones un poco encontradas al respecto, pero entiendo que 
podríamos volver a evaluarlo. 


Sin duda, al igual que el doctor Lackner, considero tremendamente importante la 
opinión de la Agesic y, si es necesario, citarla una vez más específicamente con respecto 
a este tema y a todo lo que tiene que ver con los demás artículos del proyecto. 


SEÑOR REPRESENTANTE LUST HITTA (Eduardo).- Quiero hacer unas pregunta 
técnicas. 


¿Desde su punto de vista, está vigente el tema prisión y penitenciaría hoy? Eso es 
algo que me interesa. 


Por otro lado, el artículo 22 dice: "El que contacte con un menor de dieciséis 
años [...]". Esta es una pregunta de opinión. ¿No sería mejor decir "un menor de edad"?, 
porque se puede interpretar que se trata de un menor de dieciséis años o de una persona 
que tenga menos de dieciséis años. Me gustaría conocer su opinión al respecto. Me 
parece que sería mejor que dijera "menor de edad", pero si quedara "dieciséis", ¿no 
habría que hacer una redacción en la que quede claro que no se trata de un menor de 
dieciséis años, sino de cualquiera que tenga menos de dieciséis? 


La tercera pregunta tiene que ver con el artículo 4%, cuando dice: "El que por 
cualquier medio tecnológico, de forma deliberada e ¡legítima [...]". ¿Usted no entiende 
que la palabra "ilegítima" necesita previamente una norma que declare la contrariedad de 
esa conducta? Yo entiendo que debe preexistir una ley porque el concepto de "ilegítimo" 
es lo que va contra una ley, es decir, quisiera saber si usted entiende que esto necesitaría 
una ley previa o el concepto está comprendido en este texto. 


La cuarta pregunta refiere al artículo 6%, que dice: "El que, por cualquier medio 
acceda [...]"; luego dice: "se apodere, utilice, o modifique [...]", lo que me parece muy 
bien; ahora, con ese "acceda" se puede entender como que accede sin causar ningún 
daño, simplemente accede, porque no se le agrega que cause un daño por su acceso, 
sino que se habla del solo hecho de acceder. Yo no entiendo mucho de esto, pero estoy 
pensando, por ejemplo, en una red social como Facebook en la que se acceda a mirar, si 
no quedaría medio comprendido en eso. 


Digamos que son preguntas como de texto; independientemente del espíritu del 
proyecto, que yo también firmé, me gustaría saber estas cosas bien puntuales, que, 
además, son de su especialidad. 


SEÑOR LACKNER (Ricardo).- Quiero aclarar que todavía no pasé a integrar la 
Unidad de Ciberdelitos; aún continúo en la Fiscalía de Delitos Económicos. 


Con respecto a la primera pregunta, sobre la distinción entre prisión y penitenciaría, 
quiero decir que se trata de una definición original que tenía que ver con el tipo de 
establecimientos en los cuales se iba a internar a las personas: las correccionales y las 
penitenciarias. Estamos hablando de principios del siglo XX, cuando todavía estaban las 
teorías sobre el confinamiento, el sistema de Auburn para las penitenciarias y las 
correccionales. En función de la gravedad del delito, se daba ese tratamiento, con todo un 
régimen. El país nunca llegó a construir las correccionales porque tenía, además, estilos 
arquitectónicos diferentes. Por tanto, quedó solo en la denominación en cuanto a la 
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duración expresada en meses, porque veinticuatro meses sigue siendo prisión aunque 
sea equivalente a dos años, que es penitenciaría. 


La definición fundamental de esta distinción pasó a tener que ver con la aplicación 
del artículo 27 de la Constitución y el uso de la prisión preventiva, es decir, en los casos 
de penitenciaría, prisión preventiva que, en realidad, funcionaba como un anticipo de 
pena. Así, inclusive, con total valentía, lo hacía ver la doctora Ofelia Grezzi en sus vistas. 
Al mismo tiempo, había determinadas garantías para aplicarla: precisamente, la 
recolección de elementos de semiplena prueba o, al uso del sistema, de plena prueba, 
más allá de lo exigido en esa etapa. Superado este aspecto, puede quedar en alguna 
disposición la distinción en cuanto a la gravedad del hecho, considerando más graves los 
delitos que tienen mínimo de penitenciaría. Sin embargo, una corriente de política 
criminal, considerando los efectos nocivos, porque en definitiva se trataba de aplicación 
de penas cortas de privación de libertad, lo que siempre se trató de evitar, plantea toda la 
cuestión del ajuste a las disposiciones internacionales. Entonces, en determinado 
momento se consideró oportuno que aun figuras graves tuvieran un mínimo de prisión, 
para habilitar la excarcelación provisional en casos concretos que -más allá de la 
tipificación de la figura- no revistieran gravedad o tuvieran situaciones de agravantes 
especiales. Por eso, toda la dosimetría del Código ha quedado afectada. 


De hecho, cuando integramos la Comisión de Reforma del Código Penal -que 
primero se abocó a la elaboración de las bases y luego a un proyecto- junto con la 
doctora Malet propusimos revisar todas sus dosimetrías; era necesario ajustarlas porque 
a lo largo de los años se habían desacompasado, y había que empezar con los delitos 
más graves, que tienen que ver con el genocidio, y a partir de ahí hacer una nueva escala 
con todas las penas. 


En realidad, el fundamento de las penas de prisión y penitenciaría tiene que ver con 
un efecto accesorio, que es la distinción entre excarcelable o no excarcelable. Tendría 
que repasar si hoy en alguna disposición se hace esa distinción. 


Por ejemplo, cuando en nuestra Carta se alude a un delito grave por "violación a la 
Constitución u otros delitos graves", no podemos decir que se refiera al mínimo de 
penitenciaría previsto, porque hay delitos muy graves que tienen un mínimo de prisión. 
Esa es una cuestión que ha quedado en el tiempo. 


Con respecto a la segunda pregunta, entiendo que en varias disposiciones -como en 
la relativa a la pornografía infantil- se hace referencia a "menor de edad o incapaz de 
cualquier sexo"; eso es lo que dice la disposición, que gramaticalmente es espantosa. 
Además, el término "menor" ha tenido un contenido peyorativo para referirse al infractor, y 
por eso se ha utilizado "adolescente". Es cierto que al decir "menor de dieciséis años" 
aparentemente está calificando la conducta del menor; tendría que decir "adolescente", 
es decir, toda persona menor de dieciocho años. Aquí está estableciendo un límite etario. 
Desde luego, se podría aclarar o mejorar esa referencia, e incluso el vocablo "menor". No 
creo que eso genere dificultades en la interpretación, a la luz de que se han utilizado en 
otras disposiciones aspectos similares, pero me gustaría estudiarlo con más 
detenimiento, obviamente; estoy pensando en voz alta con ustedes. 


Por otra parte, la palabra "ilegítima" es lo que llamamos una referencia normativa. El 
tipo penal -es decir, donde se describe el delito- se compone de distintos elementos. El 
más importante es el verbo nuclear, que no tiene por qué coincidir con el gramatical, y 
después hay otros aspectos descriptivos como circunstancias de modo, de tiempo y de 
lugar en cuanto a la comisión. Esto es importante porque, desde el punto de vista 
procesal -tenemos que pensar cómo vamos a demostrar este delito-, esto se resuelve en 


STE 


un juicio de verdadero o falso. Se debe pensar: "¿Fue de día o fue de noche?"; " ¿Utilizó 
un arma o no?". Me refiero a esas circunstancias descriptivas. 


En este caso, "ilegítima" es una referencia normativa. Entonces, ya no da lugar a un 
juicio de verdadero o falso, sino a un juicio de valor. Estas referencias normativas, que 
abundan en el Código, se llaman "impaciencias del legislador", porque se apresura a 
juzgar la conducta. No tienen que ver con la existencia de una disposición que ya la 
prohíba, necesariamente, sino que puede haber un acceso legítimo, por ejemplo, en un 
estado de necesidad en el que ingreso o accedo para preservarme de otro daño. Esto 
tiene que ver con eso. 


Desde luego que si esto no estuviera sería lo mismo. En las hipótesis que la ley 
otorga por institutos generales está prevista la necesidad de ingresar para conjurar, por 
ejemplo, una situación extrema a fin de ubicar dónde hay un medio estragante. Ahí habría 
un ingreso legítimo que excluiría la antijuridicidad de esa conducta, porque se dan los 
presupuestos habilitantes del Código; no tendría que ver con una ley específica. 


Sin embargo, el hecho de que esté no lo vuelve indiferente. Primero, creo que 
excluye el dolo eventual, porque está diciendo que tiene que ser consciente de que es 
ilegítimo lo que se está haciendo. 


Por otra parte, desde el punto de vista doctrinario, importa cuál es el método que 
utilizamos los operadores para interpretar las disposiciones penales, que es la teoría del 
delito; es el método creado a través de la dogmática. Acá tenemos que este es un 
elemento normativo del tipo. Entonces, ¿qué pasa cuando erramos sobre la interpretación 
de un elemento normativo? ¿Es un error de tipo o es un error de prohibición? Si es un 
error de tipo excluye el dolo. Si es un error invencible no hay problema, pero si es 
vencible quedaría subsistente la posibilidad de la tipificación culposa. Si no hay 
tipificación culposa implica impunidad por un error que recae sobre un elemento 
normativo del tipo. Hay quienes sostienen que al hacer referencia al aspecto normativo es 
un error sobre el derecho. Entonces, sería otra la cuestión si consideráramos así el tema. 


Creo que lo que se está tratando de advertir acá es que puede haber hipótesis en 
las que ese acceso sea legítimo. Me parece que es como si estuviera informando que eso 
puede darse en determinadas circunstancias, muy especiales, previstas en el 
ordenamiento. 


Ojo que esto lo estoy diciendo espontáneamente, como pensando en voz alta. 
Algunos dicen que habrá que ver los efectos a favor y en contra de esa inclusión. 


En cuanto al acceso -con razón y en contra de lo que ya están sosteniendo algunos 
autores-, acá se reclama que sea sin autorización de sus titulares o, en algunos casos 
-como establece la ley chilena-, vulnerando las disposiciones de seguridad. 


Según ciertos expertos, o personas familiarizadas con los sistemas, hay sistemas 
que están muy mal diseñados, en los que prácticamente se puede adivinar la forma de 
acceder, o que con un par de pruebas permiten estar dentro. 


Por otra parte, si el acceso lo pensamos para determinadas situaciones o bases, 
como Facebook, es una cosa, pero si hablamos de una base de datos que contiene la 
historia clínica de una persona, es otra, y eso ha ocurrido. Hay un caso de una persona 
procesada por el Código viejo por este delito, que después escribió un libro -les 
recomiendo su lectura-, que se llama Login to Hell. Operación Bitcoins, y allí hasta en 
cierto punto se burla del procedimiento realizado; actualmente, está participando en foros 
describiendo su caso y cuestionando toda la actuación. Ahí pueden ver todas las 
dificultades que representó la prosecución de ese caso, que consistió en una modalidad 


-11- 


de ransomware, por la cual una persona ingresó a una mutualista, encriptó todas las 
historias clínicas, y amenazó con revelar -por ejemplo- el nombre de los pacientes que 
tenían sida, si no le pagaban en bitcoines. 


Acá se discute cuál es el bien jurídico tutelado, y se ha planteado la necesidad de 
hablar de un nuevo bien jurídico, que sería la seguridad de la información. 


Imaginen lo siguiente: después de que se sabe que alguien ha ingresado al sistema 
sin autorización y ha tenido acceso al contenido de las historias clínicas -que se utiliza al 
momento de atender a un paciente en una urgencia, para saber si es alérgico a tal cosa o 
a tal otra, si es correcta la información, etcétera- se genera la duda de si no se alteró 
hasta involuntariamente algo en ese transcurrir por la información que se visitó. Entonces, 
el tema varía mucho según de qué se trate. 


En esta misma disposición estamos hablando, por ejemplo, de datos que pueden 
ser de contenido recreativo, como los de una red social, o de otro tipo. De ahí que se 
prevean -muy bien- agravantes cuando se trata de contenidos críticos. 


Otro problema que anoto es que resulta muy fácil caer en la metáfora del mundo 
real. Recuerden toda la discusión en materia de cuándo se consuma el hurto y cuándo el 
apoderamiento. Cuando se trata de una cosa que puede ocupar un solo lugar en el 
espacio, el apoderamiento de alguien coincide con el desapoderamiento de otro; se quita 
el objeto de la esfera de disponibilidad. Pero cuando estamos hablando de datos 
informáticos, que se pueden dividir o reproducir con la misma calidad sin que el original ni 
la copia pierdan ninguno de sus valores, ese concepto ya no es tan útil. En todo caso, 
más que la expresión "se apodere" se podría hacer mención a "el que hubiere fijado en 
un soporte". Es decir que habría que hacer referencia -como se hizo, por ejemplo, en la 
ley de propiedad intelectual- a "reproducir", "fijar", o "poner a disposición cualquier 
soporte". Esa es la forma de apoderarse de algo digital. 


Esto es lo que les puedo manifestar en voz alta sobre este tema. 


SEÑOR PRESIDENTE.- Agradecemos su comparecencia, doctor Lackner, y 
quedaremos en contacto ante cualquier otra consulta que entendamos pertinente. 


SEÑOR LACKNER (Ricardo).- Muchísimas gracias por la atención y la invitación. 
He venido con mucho gusto. 


SEÑOR PRESIDENTE.- Gracias a usted. 
(Se retira de sala el doctor Ricardo Lackner) 
——-No hay más asuntos en el orden del día. 


La siguiente reunión sería el próximo miércoles. ¿Habría algún tema pendiente, o 
deberíamos realizar alguna convocatoria? Lo pregunto a los efectos de decidir si 
realizamos la citación o no. 


(Se suspende la toma de la versión taquigráfica) 


——-_De acuerdo con lo conversado, el próximo miércoles no habrá reunión, pero sí 
el miércoles 14, y sería la última del período. 


No habiendo más asuntos, se levanta la reunión. 


